Mozilla darbinieki nejauši ievietoja Firefox un Thunderbird privātās GPG atslēgas vietnē GitHub.

Mozilla paziņoja par GPG atslēgas, ko izmanto Firefox un Thunderbird laidienu artefaktu, piemēram, tarballu, RPM pakotņu un kontrolsummas failu, digitālai parakstīšanai, aizstāšanu. Aizstāšana tika veikta pēc incidenta, kurā nešifrēta atslēgas kopija netīšām tika pievienota uzņēmuma privātajam GitHub repozitorijam, kas bija pieejams ierobežotam skaitam projekta līdzstrādnieku, kuriem bija piekļuve atslēgai, izmantojot iekšējos pakalpojumus.

Audita žurnālu analīze neatklāja pierādījumus par trešo personu piekļuvi atslēgai, kamēr tā atradās GitHub repozitorijā. Lielākajai daļai lietotāju atslēgas nomaiņa neprasa nekādas darbības. Vienīgie izņēmumi ir tie, kas manuāli pārbauda digitālos parakstus vai instalē RPM pakotnes ar oficiālajām Mozilla Firefox versijām. Šādos gadījumos viņiem būs skaidri jāimportē jaunā publiskā atslēga un jāatsauc vecā.

Fedora lietotājiem līdz 42. laidienam (ieskaitot) (Fedora 43. versijā atslēga tiks aizstāta automātiski) un RHEL/Rocky/Almalinux Jums jāpalaiž: sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo dnf clean all

openSUSE un SUSE vidēs: sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353 sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg sudo zypper refresh

Avots: opennet.ru